Ancaman Keamanan Sistem Informasi

 Ancaman Keamanan Sistem Informasi

Ancaman keamanan sistem informasi adalah sebuah aksi yang terjadi baik dari dalam sistem maupun dari luar sistem yang dapat mengganggu keseimbangan sistem informasi.Ancaman terhadap keamanan informasi berasal dari individu, organisasi, mekanisme, atau kejadian yang memiliki potensi untuk menyebabkan kerusakan pada sumber-sumber informasi.Pada kenyataannya ancaman dapat bersifat internal, yaitu berasal dari dalam perusahaan, maupun eksternal atau berasal dari luar perusahaan. Ancaman juga dapat terjadi secara sengaja ataupun tidak sengaja..Ancaman selama ini hanya banyak di bahas dikalangan akademis saja.Tidak banyak masyarakat yang mengerti tentang ancaman bagi keamanan sistem informasi mereka. Masyarakat hanya mengenal kejahatan teknologi dan dunia maya hanya apabila sudah terjadi “serangan“ atau “attack”. Sebuah hal yang perlu disosialisasikan dalam pembahasan tentang keamanan sistem terhadap masyarakat adalah mengenalkan “ancaman” kemudian baru mengenalkan ‘serangan’ kepada masyarakat. Perlu di ketahui bahwa serangan dimulai dengan ancaman, dan tidak akan ada serangan sebelum adanya ancaman. Serangan dapat diminimalisir apabila ancaman sudah diprediksi dan dipersiapkan antisipasi sebelumnya atau mungkin sudah dihitung terlebih dahulu melalui metode -metode penilaian resiko dari sebuah ancaman. Ada beberapa metode yang digunakan dalam mengklasifikasikan ancaman, salah satunya adalah Stride Method ( metode stride ) . STRIDE merupakan singkatan dari:

• Spoofing

Menggunakan hak akses / Mengakses sistem dengan menggunakan identitas orang lain .

• Tampering

Tanpa mempunyai hak akses namun dapat mengubah data yang ada didalam database.

• Repudiation

Membuat sebuah sistem atau database dengan sengaja salah, atau sengaja menyisipkan bugs, atau menyertakan virus tertentu didalam aplikasi sehingga dapat digunakan untuk mengakses sistem pada suatu saat.

• Information disclosure

Membuka atau membaca sebuah informasi tanpa memiliki hak akses atau membaca sesuatu tanpa mempunyai hak otorisasi.

• Denial of service

Membuat sebuah sistem tidak bekerja atau tidak dapat digunakan oleh orang lain.

• Elevation of priviledge

Menyalahgunakan wewenang yang dimiliki untuk mengakses sebuah sistemuntuk kepentingan pribadi.

Dalam hal ancaman ini dapat diberikan contoh didalam dunia nyata apabila seseorang diketahui membawa senjata tajam kemanapun dia pergi maka dapat dikatakan orang tersebut dapat merupakan ancaman bagi orang lain. Hal lain didunia nyata adalah pada saat diketahui seseorang membawa kunci T di sakunya maka dapat disimpulkan orang tersebut adalah merupakan ancaman bagi orang lain yang membawa kendaraan bermotor. Didalam dunia keamanan sistem atau dunia teknologi informasi seseorang dapat dikatakan berpotensi sebagai ancaman apabila memiliki hal sebagai berikut:

a)      Kewenangan tinggi untuk login kedalam sebuah sistem.

b)      Memiliki hak akses ( password ) seseorang yang dia ketahui dari berbagai sumber.

c)      Memiliki banyak sekali koleksi tools untuk meretas sebuah sistem dan keahlian dibidang itu.

d)     Orang yang membangun sebuah sistem dapat pula menjadi ancaman bagi sistem tersebut.

E.  Pengamanan Sistem Informasi

Pada umunya, pengamanan dapat dikategorikan menjadi dua jenis:pencegahan (preventif) dan pengobatan (recovery). Usaha pencegahandilakukan agar sistem informasi tidak memiliki lubang keamanan,sementara usaha-usaha pengobatan dilakukan apabila lubangkeamanan sudah dieksploitasi.Pengamanan sistem informasi dapat dilakukan melalui beberapalayer yang berbeda.Misalnya di layer “transport”, dapat digunakan“Secure Socket Layer” (SSL).Metoda ini misalnya umum digunakanuntuk Web Site. Secara fisik, sistem anda dapat juga diamankan dengan menggunakan “firewall” yang memisahkan sistem andadengan Internet. Penggunaan teknik enkripsi dapat dilakukan ditingkat aplikasi sehingga data-data anda atau e-mail anda tidakdapat dibaca oleh orang yang tidak berhak.

1. Mengatur akses (Access Control)

Salah satu cara yang umum digunakan untuk mengamankaninformasi adalah dengan mengatur akses ke informasi melaluimekanisme “access control”. Implementasi dari mekanisme ini antaralain dengan menggunakan “password”.Di sistem UNIX, untuk menggunakan sebuah sistem atau komputer,pemakai diharuskan melalui proses authentication denganmenuliskan “userid” dan “password”. Informasi yang diberikan ini

dibandingkan dengan userid dan password yang berada di sistem.Apabila keduanya valid, pemakai yang bersangkutan diperbolehkanmenggunakan sistem.Apabila ada yang salah, pemakai tidak dapatmenggunakan sistem. Informasi tentang kesalahan ini biasanyadicatat dalam berkas log. Besarnya informasi yang dicatatbergantung kepada konfigurasi dari sistem setempat.Misalnya, adayang menuliskan informasi apabila pemakai memasukkan useriddan password yang salah sebanyak tiga kali. Ada juga yang langsungmenuliskan informasi ke dalam berkas log meskipun baru satu kalisalah. Informasi tentang waktu kejadian juga dicatat.Selain itu asal hubungan (connection) juga dicatat sehingga administrator dapatmemeriksa keabsahan hubungan.

1. Memilih password

Dengan adanya kemungkinan password ditebak, misalnya denganmenggunakan program password cracker, maka memilih passwordmemerlukan perhatian khusus.Berikut ini adalah daftar hal-hal yang sebaiknya tidak digunakan sebagai password.

• Nama anda, nama istri / suami anda, nama anak, ataupun nama

  kawan.

•   Nama komputer yang anda gunakan.

•   Nomor telepon atau plat nomor kendaran anda.

•   Tanggal lahir.

•   Alamat rumah.

• Nama tempat yang terkenal.

•   Kata-kata yang terdapat dalam kamus (bahasa Indonesia maupun bahasa Inggris)

• Hal-hal di atas ditambah satu angka
• Password dengan karakter yang sama diulang-ulang.

1. Memasang Proteksi

Untuk lebih meningkatkan keamanan sistem informasi, proteksidapat ditambahkan. Proteksi ini dapat berupa filter (secara umum)dan yang lebih spesifik adalah firewall. Filter dapat digunakanuntuk memfilter e-mail, informasi, akses, atau bahkan dalam level packet. Sebagai contoh, di sistem UNIX ada paket program“tcpwrapper” yang dapat digunakan untuk membatasi akses kepadaservis atau aplikasi tertentu. Misalnya, servis untuk “telnet” dapatdibatasi untuk untuk sistem yang memiliki nomor IP tertentu, atau memiliki domain tertentu. Sementara firewall dapat digunakanuntuk melakukan filter secara umum.Untuk mengetahui apakah server anda menggunakan tcpwrapperatau tidak, periksa isi berkas /etc/inetd.conf.Biasanya tcpwrapperdirakit menjadi “tcpd”.Apabila servis di server anda (misalnyatelnet atau ftp) dijalankan melalui tcpd, maka server andamenggunakan tcpwrapper.Biasanya, konfigurasi tcpwrapper (tcpd)diletakkan di berkas /etc/hosts.allow dan /etc/hosts.deny.

1. Firewall

Firewall merupakan sebuah perangkat yang diletakkan antara Internet dengan jaringan internal (Lihat Figure 4.1 on page 55).Informasi yang keluar atau masuk harus melalui firewall ini.Tujuan utama dari firewall adalah untuk menjaga (prevent) agarakses (ke dalam maupun ke luar) dari orang yang tidak berwenang(unauthorized access) tidak dapat dilakukan. Konfigurasi dari firewallbergantung kepada kebijaksanaan (policy) dari organisasi yangbersangkutan, yang dapat dibagi menjadi dua jenis:

•      apa-apa yang tidak diperbolehkan secara eksplisit dianggap tidak diperbolehkan (prohibitted)

•      apa-apa yang tidak dilarang secara eksplisit dianggapdiperbolehkan (permitted)

       Firewall bekerja dengan mengamati paket IP (Internet Protocol) yang melewatinya. Berdasarkan konfigurasi dari firewall makaakses dapat diatur berdasarkan IP address, port, dan arah informasi.Detail dari konfigurasi bergantung kepada masing-masing firewall.Firewall dapat berupa sebuah perangkat keras yang sudahdilengkapi dengan perangkat lunak tertentu, sehingga pemakai(administrator) tinggal melakukan konfigurasi dari firewall tersebut.Firewall juga dapat berupa perangkat lunak yang ditambahkankepada sebuah server (baik UNIX maupun Windows NT), yangdikonfigurasi menjadi firewall.Dalam hal ini, sebetulnya perangkatkomputer dengan prosesor Intel 80486 sudah cukup untuk menjadifirewall yang sederhana.

Firewall biasanya melakukan dua fungsi; fungsi (IP) filtering danfungsi proxy. Keduanya dapat dilakukan pada sebuah perangkatkomputer (device) atau dilakukan secara terpisah.Beberapa perangkat lunak berbasis UNIX yang dapat digunakanuntuk melakukan IP filtering antara lain:

• ipfwadm: merupakan standar dari sistem Linux yang dapatdiaktifkan

pada level kernel

• ipchains: versi baru dari Linux kernel packet filtering yangdiharapkan

dapat menggantikan fungsi ipfwadm

Fungsi proxy dapat dilakukan oleh berbagai software tergantungkepada jenis proxy yang dibutuhkan, misalnya web proxy, rloginproxy, ftp proxy dan seterusnya. Di sisi client sering kalaidibutuhkan software tertentu agar dapat menggunakan proxyserver ini, seperti misalnya dengan menggunakan SOCKS. Beberapaperangkat lunak berbasis UNIX untuk proxy antara lain:

• Socks: proxy server oleh NEC Network Systems Labs

• Squid: web proxy server

Informasi mengenai firewall secara lebih lengkap dapat dibaca padareferensi [19, 24] atau untuk sistem Linux dapat dilakukan denganmengunjungi web site berikut: <http://www.gnatbox.com>.

1. Pemantau adanya serangan

Sistem pemantau (monitoring system) digunakan untuk mengetahuiadanya tamu tak diundang (intruder) atau adanya serangan (attack).Nama lain dari sistem ini adalah “intruder detection system” (IDS).Sistem ini dapat memberitahu administrator melalui e-mail maupunmelalui mekanisme lain seperti melalui pager.Ada berbagai cara untuk memantau adanya intruder. Ada yang sifatnya aktif dan pasif. IDS cara yang pasif misalnya denganmemonitor logfile. Contoh software IDS antara lain:

• Autobuse, mendeteksi probing dengan memonitor logfile.

• Courtney, mendeteksi probing dengan memonitor packet yang lalu

  lalang

• Shadow dari SANS

1. Pemantau integritas sistem

Pemantau integritas sistem dijalankan secara berkala untuk mengujiintegratitas sistem. Salah satu contoh program yang umumdigunakan di sistem UNIX adalah program Tripwire. Program paketTripwire dapat digunakan untuk memantau adanya perubahan padaberkas. Pada mulanya, tripwire dijalankan dan membuat databasemengenai berkas-berkas atau direktori yang ingin kita amati beserta“signature” dari berkas tersebut. Signature berisi informasi mengenaibesarnya berkas, kapan dibuatnya, pemiliknya, hasil checksum atauhash (misalnya dengan menggunakan program MD5), dansebagainya. Apabila ada perubahan pada berkas tersebut, makakeluaran dari hash function akan berbeda dengan yang ada didatabase sehingga ketahuan adanya perubahan.

1. Audit: Mengamati Berkas Log

Segala (sebagian besar) kegiatan penggunaan sistem dapat dicatatdalam berkas yang biasanya disebut “logfile” atau “log” saja. Berkaslog ini sangat berguna untuk mengamati penyimpangan yangterjadi. Kegagalan untuk masuk ke sistem (login), misalnya,tersimpan di dalam berkas log. Untuk itu para administratordiwajibkan untuk rajin memelihara dan menganalisa berkas logyang dimilikinya.

1. Backup secara rutin

Seringkali tamu tak diundang (intruder) masuk ke dalam sistem danmerusak sistem dengan menghapus berkas-berkas yang dapatditemui.Jika intruder ini berhasil menjebol sistem dan masuksebagai super user (administrator), maka ada kemungkinan diadapat menghapus seluruh berkas.Untuk itu, adanya backup yangdilakukan secara rutin merupakan sebuah hal yang esensial.Bayangkan apabila yang dihapus oleh tamu ini adalah berkaspenelitian, tugas akhir, skripsi, yang telah dikerjakan bertahun-tahun.Untuk sistem yang sangat esensial, secara berkala perlu dibuatbackup yang letaknya berjauhan secara fisik.Hal ini dilakukan untuk menghindari hilangnya data akibat bencana seperti kebakaran, banjir, dan lain sebagainya. Apabila data-data dibackupakan tetapi diletakkan pada lokasi yang sama, kemungkinan dataakan hilang jika tempat yang bersangkutan mengalami bencanaseperti kebakaran.Untuk menghindari hal ini, enkripsi dapat digunakan untukmelindungi adanya sniffing. Paket yang dikirimkan dienkripsi

dengan RSA atau IDEA sehingga tidak dapat dibaca oleh orangyang tidak berhak. Salah satu implementasi mekanisme ini adalahSSH (Secure Shell). Ada beberapa implementasi SSH ini, antara lain:

•   SSH untuk UNIX (dalam bentuk source code, gratis)

• SSH untuk Windows95 dari Data Fellows (komersial)http://www.datafellows.com/

•   TTSSH, yaitu skrip yang dibuat untuk Tera Term Pro (gratis,untuk Windows 95)

http://www.paume.itb.ac.id/rahard/koleksi

•   SecureCRT untuk Windows95 (shareware / komersial)

1. Penggunaan Enkripsi untuk meningkatkan keamanan

Salah satau mekanisme untuk meningkatkan keamanan adalahdengan menggunakan teknologi enkripsi.Data-data yang andakirimkan diubah sedemikian rupa sehingga tidak mudah disadap.Banyak servis di Internet yang masih menggunakan “plain text”untuk authentication, seperti penggunaan pasangan userid danpassword.Informasi ini dapat dilihat dengan mudah oleh programpenyadap (sniffer).Contoh servis yang menggunakan plain text antara lain:

• akses jarak jauh dengan menggunakan telnet dan rlogin

• transfer file dengan menggunakan FTP

• akses email melalui POP3 dan IMAP4

• pengiriman email melalui SMTP

• akses web melalui HTTP

Penggunaan enkripsi untuk remote akses (misalnya melalui sshsebagai penggani telnet atau rlogin) akan dibahas di bagiantersendiri.

10.  Telnet atau shell aman

Telnet atau remote login digunakan untuk mengakses sebuah “remotesite” atau komputer melalui sebuah jaringan komputer.Akses inidilakukan dengan menggunakan hubungan TCP/IP denganmenggunakan userid dan password.Informasi tentang userid danpassword ini dikirimkan melalui jaringan komputer secara terbuka.Akibatnya ada kemungkinan seorang yang nakal melakukan“sniffing” dan mengumpulkan informasi tentang pasangan useriddan password ini.

1. F.   Kebijakan Keamanan Sistem Informasi

Setiap organisasi akan selalu memiliki pedoman bagi karyawannya untuk mencapai sasarannya. Setiap karyawan tidak dapat bertindak semaunya sendiri dan tidak berdisiplin dalam melaksanakan tugasnya.Setiap organisasi akan selalu memiliki pedoman bagi karyawannya untuk mencapai sasarannya. Setiap karyawan tidak dapat bertindak semaunya sendiri dan tidak berdisiplin dalam melaksanakan tugasnya.Kebijakan keamanan sistem informasi biasanya disusun oleh pimpinan operasi beserta pimpinan ICT (Information Communication Technology) dnegan pengarahan dari pimpinan organisasi. Rangkaian konsep secara garis besar dan dasar bagi prosedur keamanan sistem informasi adalah:

1. Kemanan sistem informasi merupakan urusan dan tanggung jawab semua karyawan

Karyawan diwajibkan untuk memiliki “melek” keamanan informasi.Mereka harus mengetahui dan dapat membayangkan dampak apabila peraturan keamanan sistem informasi diabaikan.Semua manajer bertanggung jawab untuk mengkomunikasikan kepada semua bawahannya mengenai pengamanan yang dilakukan di perusahaan dan meyakinkan bahwa mereka mengetahui dan memahami semua peraturan yang diterapkan di perusahaan dan bagiannya.

1. Penetapan pemilik sistem informasi

Akan berguna sekali apabila seseorang ditunjuk sebagai pemilik sistem (atau sistem) yang bertanggung jawab atas keamanan sistem dan data yang dipakainya.Ia berhak untuk mengajukan permintaan atas pengembangan sistem lebih lanjut atau pembetulan di dalam sistem yang menyangkut bagiannya. Personel ini merupakan contact person dengan bagian ICT (Information Communication Technology).

1. Langkah keamanan harus sesuai dengan peraturan dan undang-undang

Tergantung dari bidang yang ditekuni, perusahaan harus mematuhi undang-undang yang telah ditetapkan yang berkaitan dengan proteksi data, computer crime, dan hak cipta.

1. Antisipasi terhadap kesalahan

Dengan meningkatkan proes transaksi secara online dan ral time dan terkoneksi sistem jaringan internaisonal, transaksi akan terlaksanaka hanya dalam hitunngan beberapa detik dan tidak melibatkan manusia. Transaksi semacam ini apabila terjadi kesalahan tidak dapat langsung diperbaiki atau akan menyita banyak waktu dan upaya untuk memperbaikinya. Antisipasi dan pencegahan dengan tindakan keamanan yang ketat akan memberikan garansi atas integritas, kelanjutan, dan kerahasiaan transaksi yang terjadi. Tindakan pecegahan tambahan harus diimplementasikan agar dapat mendeteksi dan melaporkan kesalahan yang terjadi sehingga kejanggalan dapat ikoreksi secepat mungkin.

1. Pengaksesan ke dalam sistem harus berdasarkan kebutuhan fungsi

User harus dapat meyakinkan kebutuhannya untuk dapat mengakses ke sistem sesuai dnegan prinsip “need to know”. Pemilik sistem harus bertanggung jawab atas pemberian akses ini.

1. Hanya data bisnis yang ditekuni perusahaan yang diperbolehkan untuk diproses di sistem informasi

Sistem computer milik perusahaan beserta jaringannya hanya diperbolehkan untuk dipakai demi kepentingan bisnis perusahaan.Data perusahaan hanya diperbolehkan dipakai untuk bisnis perusahaan dan pemilik sistem bertanggung jawab penuh atas pemberian pengaksesan terhadap data tersebut.

1. Pekerjaan yang dilakukan oleh pihak ketiga

Apabila pihak ketiga melakukan pekerjaan yang tidak dapat ditangani oleh perusahaan, maka perusahaan harus dilindungi oleh keamanan atas informasi perusahaan.Di dalam kontrak harus didefinisikan agar pihak ketiga mematuhi peraturan dan keamanan sistm informasi perusahaan.Manajemen harus bertanggung jawab agar pihak ketiga mematuhi dan mengikuti peraturan keamanan yang telah ditentukan.

1. Pemisahan aktivitas antara pengembang sistem, pengoperasian sistem, dan pemakai akhir sistem informasi

Untuk menjaga kestabilan sistem informasi di lingkungan perusahaan, dianjurkan agar diadakan pemisahan secara fungsional antara pengembang sistem, pengoperasian sistem harian dan pemakai akhir. Untuk mencapai tujuan ini, pihak ICT terutama bagian pengembangan sistem tidak dibenarkan apabila ia menangani administrasi yang menyangkut keamanan sistem.

1. Implementasi sistem baru atau permintaan perubahan terhadap sistem yang sudah ada harus melalui pengontrolan yang ketat melalui prosedur sistem akseptasi dan permintaan perubahan (change request)

Perubahan terhadap sistem informasi hanya melalui prosedur yang berlaku untuk pengembangan dan implementasi sistem baru. Setiap permintaan perubahan program harus disertai alasan yang kuat serta keuntungan yang akan didapatkan dan pemohon harus dapat meyakini manajer terkait dan pemilik sistem mengenai perubahan ini. Oleh karena itu, sangat penting apabila semua pihak yang terkait harus menandatangani “change request” sebelum kegiatan ini dimulai.

10.  Sistem yang akan dikembangkan harus sesuai dnegan standart metode pengembangan sistem yang diemban oleh organisasi

Sistem yang akan dibangun harus memakai bahasa pemograman yang telah ditetapkan. Tidak dibenarkan apabila programer membuatnya dengan bermacam-macam bahasa pemograman.Patut dipertimbangkan semua risiko keamanan beserta penanggulannya di dalam sistem.Sebelum sistem aplikasi diimplementasikan, pemilik sistem harus mengevaluasi dan menilai keadaan keamanan di dalam aplikasi tersebut.

11.  Pemakai bertanggung jawab penuh atas semua aktivitas yang dilakukan dengan memakai kode identiitasnya (user-ID)

Semua pemakai harus berhati-hati menyimpan password User-ID-nya. Semua aktivitas yang dilakukan dengan ID ini akan terekam di dalam audit-trial. Pemakai tidak dapat memungkiri bukti ini, apabila terjadi kesalahan fatal yang mengakibatkan kerugian terhadap perusahaan. Kesalahan yang berdampak akan mengakibatkan peringatan atau pemutusan hubungan kerja terhadap pemilik user-ID ini.